Le prompt : art ou machine à photo-coller ?

A partir de 2021, la deuxième vague d’IA générative, les modèles de diffusion, fait irruption dans le monde de l’Art, via des applications comme Midjourney, ou DALL-E. Par rapport à la « première vague », les Generative Adversarial Network (GAN), ces applications apportent une plus grande diversité dans la génération d’image, ainsi qu’une plus grande performance et accessibilité. Rapidement, de nombreux artistes s’approprient ces nouvelles techniques. C’est le cas de l’artiste Jason Allen qui, à l’été 2022, se voit attribuer le premier prix à la foire d’État du Colorado pour son œuvre « Théâtre d’Opéra Spatial », alors qu’il participe pour la toute première fois à un concours d’art. Son œuvre est une impression sur toile réalisée à partir d’images générées par l’application d’IA générative Midjourney [34] .

Plus récemment, en avril 2023, c’est le photographe allemand Boris Eldagsen qui remporte le premier prix de la prestigieuse compétition Sony World Photography Award pour « The Electrician », une image qu’il a créée à partir de l’application DALL-E. N’ayant volontairement pas mentionné l’importance de l’IA dans sa création, Boris Eldagsen a déclaré qu’il voulait provoquer un débat et a renoncé à son prix  [35] Cela lui a évité la vive polémique dont Jason Allen avait fait l’objet. En effet, de nombreux internautes sur Twitter déploraient la mort de l’art, quand d’autres traitaient Jason Allen de faux artiste et l’accusaient d’avoir trompé le jury en ne mentionnant pas spécifiquement l’outil Midjourney et son mode de fonctionnement parmi les techniques utilisées.

[34] https://www.theverge.com/2022/9/1/23332684/ai-generated-artwork-wins-state-fair-competitioncolorado

[35] https://www.bbc.com/news/entertainment-arts-65296763

Bien que les deux artistes aient eu des approches très différentes, tant sur l’acceptation du prix que sur le degré de transparence visà-vis du jury,ils s’accordent davantage lorsqu’ils décrivent leur processus de création. Dans une interview accordée à Scientific American , Boris Eldagsen explique que sa démarche créative a consisté en de nombreuses décisions et éditions. Créer à partir de l’IA requiert du temps et de la patience et le processus peut prendre plusieurs jours [36] . De même, Jason Allen indique avoir passé plus de 80 heures à rechercher le prompt qui correspondait à ce qu’il avait comme imaginaire et l’avoir exécuté entre 600 et 900 fois avant de sélectionner trois images qu’il a ensuite édité sur Photoshop avant d’imprimer sa toile [37] .

Si la question du mérite de ces artistes et de la paternité de leur œuvre fait l’objet de débats sur les réseaux sociaux et dans le monde de l’art, la question de la propriété intellectuelle de ces deux artistes ne s’est pas posée, et n’a pas été remise en question. Ce n’est pas le cas de l’auteure et ingénieure logicielle Kris Kashtanova pour son roman graphique « Zarya of the Dawn [38] », illustré à partir d’images générées avec l’application Midjourney. En effet, le Copyright Office américain a estimé que les images individuelles du roman ne peuvent pas être protégées, contrairement au texte écrit par l’auteure.

Le Copyright Office a motivé sa décision en évoquant le caractère aléatoire des images générées par Midjourney : « Parce que Midjourney commence par un bruit généré de manière aléatoire qui évolue vers une image finale, il n’y a aucune garantie qu’un prompt particulier générera une sortie visuelle particulière », a-t-il indiqué dans sa lettre [39] .

Cette décision fait écho à la demande d’enregistrement de Steven Thaler, qui a tenté

[36] https://www.scientificamerican.com/article/how-my-ai-image-won-a-major-photographycompetition/

[37] https://www.arte.tv/fr/videos/110342-003-A/le-dessous-des-images/

[38] https://www.wsj.com/articles/ai-generated-comic-book-zarya-of-the-dawn-keeps-copyright-but-keyimages-excluded-c8094509

[39] Traduction libre du texte original :« Because Midjourney starts with a randomly generated noise that evolves into a final image, there is no guarantee that a particular prompt will generate any particular visual output » de faire reconnaître un copyright à son algorithme pour la création « A Recent Entrance to Paradise » qu’il a déclaré avoir été conçue de façon autonome par la machine. Le US Copyright Office a pourtant statué qu’une expression non-humaine n’est pas éligible à la protection par copyright [40] .

Pour le moment, les affaires emblématiques concernant la propriété intellectuelle viennent surtout d’outre-Atlantique. En France, la question semble faire moins débat. Pour comprendre pourquoi, nous avons consulté Claire Poirson, avocate, fondatrice du cabinet d’avocats FIRSH, dédié à l’innovation et Imane Bello, experte en Droit et Politique de l’IA

Question d’artiste

Puis-je faire reconnaître un droit d’auteur pour une œuvre créée à partir d’applications d’IA génératives ?

Le point de vue juridique

En France, la question de l’originalité de l’œuvre est essentielle pour faire reconnaître un droit d’auteur. Indépendamment du mérite, de la qualité, des outils ou des procédés utilisés, il faut être avant tout capable de démontrer que l’œuvre est empreinte de la personnalité de l’auteur, qu’elle révèle un apport personnel et intellectuel.

Question d’artiste

En France, pourrait-on faire reconnaître un droit d’auteur à une IA qui créerait une œuvre de façon autonome ?

Le point de vue juridique

Cela ne serait pas possible de faire un dépôt en droit d’auteur au nom d’une IA. D’une part, il n’est pas possible de déposer un droit d’auteur en France ; c’est un droit qui se prouve par tout moyen en cas de contrefaçon. D’autre part, l’IA n’ayant pas la personnalité juridique, elle ne pourrait pas stricto sensu être recevable à agir pour être titulaire ou défendre un quelconque droit d’auteur. Cependant, on pourrait envisager que la société qui détiendrait l’IA qui aurait créé l’œuvre pourrait protéger sa propriété intellectuelle voire déposer la création en droit des marques, dessins et modèles ou éventuellement en logiciel. Dans ce cas, ce serait la société qui aurait la titularité et de facto la responsabilité juridique de l’œuvre.

Entre opportunités et menaces

En septembre 2022, à peine un mois après le lancement de Stable Diffusion, l’artiste numérique polonais Greg Rutkowski a vu son nom devenir un des mot-clés favoris des utilisateurs de l’outil. En effet, le mot Rutkowski avait été recensé plus de 90 000 fois dans les prompts du site Lexica (qui regroupe des millions d’images générées par Stable Diffusion), contre environ 2 000 pour Picasso. Si, au départ, l’artiste y a vu une opportunité d’acquérir davantage de notoriété, il a vite déchanté en se rendant compte que les images inspirées de son style supplantaient largement ses œuvres originales lorsqu’il tapait son nom sur les moteurs de recherche [41] .

D’autres artistes se sont insurgés en trouvant leurs créations dans les jeux de données à partir desquels ont été entraînés les modèles d’IA générative. Ce qui a provoqué une vive polémique sur la façon dont sont entraînées ces IA, avec des millions d’images ou de textes collectés sur Internet sans l’accord préalable de leur auteur

À l’heure où nous écrivons, plusieurs affaires sont en cours. Le 13 janvier 2023, trois illustrateurs, Sarah Andersen, Kelly McKernan et Karla Ortiz, ont lancé un recours collectif contre Stability AI, Midjourney et Deviantart aux Etats-Unis [42]. Quelques jours plus tard, Getty Images a annoncé intenter un procès à Stability AI devant la Haute Cour de Justice de Londres. L’agence photo accuse Stability AI d’avoir utilisé illégalement des millions d’images sous licence [43]

Aux États-Unis, les fournisseurs de systèmes d’IA générative s’appuient sur le principe du fair use (littéralement « usage loyal », qui regroupe plusieurs exceptions à l’application du copyright) pour l’utilisation sans accord préalable des images et textes qui permettent d’entraîner leurs modèles. Que disent le droit européen et français concernant l’utilisation des œuvres dans les données d’entraînement ?

Question d’artiste

Qu’en est-il dans l’Union Européenne et en France : est-ce légal d’utiliser des photos et textes pour la conception de modèles d’IA générative sans l’accord de leurs auteurs ?

Le point de vue juridique

La directive européenne 2019/790 du 17 avril 2019 sur le droit d’auteur et les droits voisins dans le marché unique numérique, transposée en droit français [44] a introduit une exception relative au data mining (la fouille de données) qui autorise la collecte des contenus publiquement accessibles sur internet. Cette exception s’applique uniquement s’il y a la possibilité pour l’auteur du contenu d’exercer un droit de retrait (« opt-out »).

En pratique, l’auteur souhaitant exercer ce droit de retrait doit demander le retrait de ses créations des données d’entraînement à l’entreprise propriétaire du système d’IA générative.

S’agissant des créations réalisées via des systèmes d’IA, dans le cas où un auteur reconnaîtrait son œuvre (ou, dans certaines conditions, une partie de son œuvre) l’entreprise pourrait être attaquée en justice pour contrefaçon

[41] https://www.technologyreview.com/2022/09/16/1059598/this-artist-is-dominating-ai-generated-artand-hes-not-happy-about-it/

[42] https://fingfx.thomsonreuters.com/gfx/legaldocs/myvmogjdxvr/IP%20AI%20COPYRIGHT%20 complaint.pdf

[43] https://newsroom.gettyimages.com/en/getty-images/getty-images-statement

[44] https://www.vie-publique.fr/rapport/277886-transposition-des-exceptions-de-fouille-de-textes-etde-donnees

Question d’artiste

L’artiste doit-il nécessairement constater l’utilisation de son œuvre par l’IA générative a posteriori pour pouvoir agir ?

Le point de vue juridique

En l’état actuel de la réglementation, oui. Dans un communiqué du 31 mars 2023, le commissaire européen au marché intérieur a indiqué que la création d’œuvres d’art par l’IA ne mérite pas une intervention législative spécifique et la commission européenne n’envisage pas de réviser la directive.

Dans le cas des données personnelles, il y a une réglementation et également des autorités de contrôles spécifiques. Ce n’est pas le cas des œuvres créées par IA qui ne disposent pas d’autorités spéciales –hormis les autorités judiciaires. Par exemple, à fin avril 2023, la CNIL a été saisie parce qu’elle a reçu quatre plaintes concernant ChatGPT dont celle d’un député qui s’est aperçu que sa biographie, telle qu’écrite par la chatbot, était erronée [45]. Or, le RGPD requiert une collecte de données exacte et permet aux personnes concernées de demander aux responsables de traitement la rectification des données personnelles les concernant (voir la partie : « IA Générative et Données personnelles »).

Pour le moment, les moyens juridiques qui existent relèvent de la sanction et pas de la prévention, le règlement européen de l’IA dont on attend l’entrée en vigueur prochainement doit prévoir cet encadrement sous l’angle de la prévention. Il y a encore très peu de jurisprudence concernant les IA génératives et le droit d’auteur. On peut imaginer, dans le futur, la création d’une autorité de contrôle dédiée à la protection des œuvres , par exemple au sein de la SACEM. Mais le temps de la législation est souvent extrêmement long quand on le met en rapport avec les bouleversements engendrés par l’innovation. Il faut le temps que la jurisprudence se crée, ce qui prend souvent plusieurs années. À titre de comparaison, dans le cas des NFTs MetaBirkin, Hermès a porté plainte [46] en 2021 pour contrefaçon de son sac à main et a finalement obtenu gain de cause en février 2023.

La question des modalités pratiques selon lesquelles un auteur peut, d’une part, vérifier si ses œuvres ont été collectées pour entraîner un modèle d’IA et, d’autre part, demander le retrait se pose. En effet, pour de nombreux modèles comme ChatGPT ou Midjourney, les jeux de données d’entraînement ne sont pas disponibles publiquement, raison pour laquelle certains artistes militent pour un « opt-in » c’està-dire un consentement préalable par opposition à un droit de retrait (« opt-out ») [47]

Les artistes Mat Dryhurst and Holly Herndon sont à l’origine du site internet HaveIBeenTrained, détenu par la société Spawning. Ce site permet à ses utilisateurs de rechercher à travers les plus de 5 milliards d’images des jeux de données publics

[45] https://www.rfi.fr/fr/france/20230413-france-le-d%C3%A9put%C3%A9-%C3%A9ric-bothorel-saisi-lacnil-et-porte-plainte-contre-le-robot-chatgpt

[46] https://www.thefashionlaw.com/hermes-v-rothschild-a-timeline-of-developments-in-a-case-overtrademarks-nfts/

[47] https://www.technologyreview.com/2022/12/16/1065247/artists-can-now-opt-out-of-the-nextversion-of-stable-diffusion/

LAION-5B et Laion – 400M – qui ont servi pour l’entraînement de Stable Diffusion et Imagen de Google – et de signaler celles qu’ils souhaitent retirer.

Stability AI a annoncé fin décembre travailler avec Spawning pour permettre aux artistes qui le souhaitent de supprimer leurs images du jeu d’entraînement de la version 3 de Stable Diffusion [48]. Depuis, selon Spawing, plus d’un milliard d’images ont été enlevées du jeu de données. Cependant, des critiques sur la vérification de l’identité et des droits des utilisateurs du site se font légitimement entendre [49]

Quand l’IA donne de la voix : peut-on hausser le ton ?

La musique est également un domaine où l’IA générative déchaîne les passions. Fin avril 2023, la chanson « Heart of Sleeves » devenait, en l’espace d’un week-end, le premier tube interplanétaire généré grâce à l’IA. Ce duo fictif entre The Weeknd et Drake paraissait tellement vrai qu’il a été téléchargé plusieurs millions de fois avant que le label des deux artistes n’exige son retrait des plateformes, invoquant une violation du copyright [50] .

Ce succès fulgurant est venu alimenter et accélérer un débat déjà enflammé sur l’utilisation de la voix d’artistes, vivants ou décédés, pour générer de la musique grâce à l’IA générative.

Le droit des données personnelles permet à toute personne de définir des directives relatives à la conservation, à l’effacement et à la communication de ses données après son décès. Il faut donc s’interroger sur l’utilisation, sans consentement de la personne concernée ou de ses descendants, de la voix d’un artiste décédé. Cependant, c’est avant tout la question économique qui occupe le débat.

Alors que certaines maisons de disques exigent le bannissement sur les plateformes de streaming de la musique créée à partir de l’IA générative [51], d’autres artistes l’accueillent bien plus favorablement. C’est le cas de David Guetta qui a joué sur scène une musique composée en une heure grâce à ChatGPT et utilisant la voix du rappeur Eminem. Le DJ et producteur a ensuite annoncé qu’il ne ferait jamais utilisation commerciale de sa création. L’artiste Grimes va quant à elle plus loin : elle a annoncé qu’elle autorise toute utilisation de sa voix par l’IA moyennant 50 % des royalties [52]

Ces nouveaux usages qui émergent avec l’IA générative rappellent le cas emblématique de Cyril Mazzotti qui s’était rendu compte qu’il était la voix française de Siri lorsque l’assistant vocal de Apple avait été déployé pour la première fois en 2011 [53]. Cyril Mazzoti avait prêté sa voix à la société Nuance Communication, sous-traitante d’Apple, afin de constituer une bibliothèque des phonèmes français qui ont permis d’entraîner Siri. Il n’avait pas obtenu une réévaluation significative de sa rémunération auprès de Nuance Communication, mais avait pu profiter de sa notoriété pendant quelques mois avant qu’Apple recrute de nouvelles voix sous exclusivité.

[48] https://twitter.com/EMostaque/status/1603147709229170695?s=20&t=4cJ1ZW8q71HwJ4kk1RmTJw

[49] https://arstechnica.com/information-technology/2022/12/stability-ai-plans-to-let-artists-opt-out-ofstable-diffusion-3-image-training/

[50] https://www.nytimes.com/2023/04/19/arts/music/ai-drake-the-weeknd-fake.html

[51] https://edition.cnn.com/2023/04/18/tech/universal-music-group-artificial-intelligence/index.html

[52] https://www.rollingstone.com/music/music-features/grimes-drake-the-weeknd-aimusic-1234726521/

[53] https://www.lesechos.fr/2015/10/je-suis-siri-1229933

Avec les nouvelles possibilités offertes par l’IA générative, on peut s’attendre à ce qu’il y ait une mobilisation plus forte d’artistes ou d’ayant-droits souhaitant protéger l’utilisation de leur style ou de leur droit d’auteur. C’est déjà le cas aux État-Unis : début mai 2023, Spotify a annoncé, sous la pression du label Universal qui l’accusait de fraude, retirer de son site des milliers de chansons générées par l’IA via l’outil Boomy [54]. Qu’en est-il du droit actuellement en France ?

Question d’artiste

Aujourd’hui, puis-je protéger ma voix ?

Le point de vue juridique

En France, comme en Union européenne, vous ne pouvez pas utiliser la voix d’un artiste librement. En droit français, tout individu bénéficie d’un droit à la voix , qui est un équivalent du droit à l’image pour la voix. La voix est protégée, car c’est un attribut de la personnalité. Il existe également les droits voisins du droit d’auteur régis par le Code de la propriété intellectuelle. Ils protègent les artistes-interprètes, les producteurs de vidéogrammes et phonogrammes. Enfin, selon le RGPD, la voix est considérée comme une donnée à caractère personnel puisqu’elle permet de vous identifier. Son traitement est d’autant plus limité, puisqu’il s’agit d’une donnée personnelle sensible, car biométrique.

Question d’artiste

Comment me protéger de ceux qui veulent exploiter ma notoriété ?

Le point de vue juridique

Se placer dans le sillage d’un autre artiste pour tirer profit de sa notoriété, de ses investissements ou de son savoir-faire est un agissement parasitaire. Il est possible de s’y opposer et d’intenter une action pour parasitisme

Dès 2020, un rapport du Conseil Supérieur de la Propriété Littéraire et Artistique (CSPLA) a envisagé dans un rapport plusieurs évolutions juridiques si le besoin apparaissait [55]. Y sont proposés notamment la création d’une présomption d’autorat, une nouvelle version des droits voisins à la manière du régime de l’œuvre posthume ou éventuellement un droit sui generis, inspiré du droit des producteurs de bases de données, qui serait fondé sur l’investissement. En effet, ce droit protège de la réutilisation le contenu d’une base de données lorsque la constitution de celle-ci a nécessité un investissement financier, matériel ou humain [56] .

Des discussions concernant le projet de règlement européen sur l’IA sont en cours à Bruxelles. De nouvelles obligations concernant le droit d’auteur pourraient

[54] https://www.forbes.com/sites/ariannajohnson/2023/05/09/spotify-removes-tens-of-thousands-ofai-generated-songs-heres-why/

[55] Mission du CSPLA sur les enjeux juridiques et économiques de l’intelligence artificielle dans les secteurs de la création culturelle, « Rapport du CSPLA sur l’IA », p.44, 27/01/2023 être imposées aux fournisseurs de systèmes d’IA générative, notamment celle de documenter et de publier une synthèse des données d’entraînement utilisées et protégées par droit d’auteur [57]. Si cette obligation voit le jour, elle pourra permettre aux artistes de déterminer plus aisément si leurs œuvres ont été utilisées et ainsi d’exercer leur droit de retrait.

[56] V. dir. 96/9/CE, du 11 mars 1996, concernant la protection juridique des bases de données ; CPI, art. L. 341-1 et s.

Aux Etats-Unis, en mai 2023, la Cour Suprême a statué en faveur d’une photographe dont le portrait du chanteur Prince a été sérigraphié sans son accord par Andy Warhol [58]. Cette décision pourrait remettre en cause le principe du « fair use » sur lequel s’appuient les fournisseurs de système d’IA génératives pour l’utilisation des images et textes qui permettent d’entraîner leurs modèles.

Peut-être sommes-nous à un tournant avec les nouveaux usages engendrés par l’IA générative, qui nécessitent des ajustements du droit d’auteur. Pour le moment, la question est posée et elle semble loin d’être tranchée.

Les recommandations de Data For Good pour les utilisateurs de modèles d’IA générative

Se renseigner sur l’utilisation ou non de modèles génératifs pour l’élaboration des productions artistiques. En particulier : le modèle utilisé, les conditions d’entraînement de celui-ci ainsi que la licence de réutilisation. L’idéal est d’être transparent sur le processus créatif afin de favoriser et mettre en avant les artistes originaux.

Les recommandations de Data For Good pour les artistes et créateurs de contenu

Vérifier le statut juridique / la disponibilité en ligne de ses propres œuvres. S’il y a lieu, identifier les potentiels ré-utilisateurs et la cohérence entre le statut de vos productions et de l’utilisation qui en est faite. Une approche est de tester les différents modèles disponibles avec son propre nom d’artiste.

[57] https://copyrightblog.kluweriplaw.com/2023/05/09/generative-ai-copyright-and-the-ai-act/ [58] https://deadline.com/2023/05/supreme-court-andy-warhol-prince-copyright-1235371771/

Les recommandations de Data For Good pour les développeurs

d’IA générative

Vérifier les cadres juridique de réutilisation des jeux de données utilisées pour l’entraînement des modèles. Les sources de données et licences associées doivent être documentées. Il est important que toutes les parties prenantes (artistes, utilisateurs, législateurs) soient informées des sources et de leur cadre d’utilisation.

Les recommandations de Data For Good pour les décideurs

Encadrer la mention des sources pour l’usage des modèles génératifs. La mention de l’utilisation d’un modèle, du prompt utilisé, des sources de données d’entraînement et des licences associées doivent être systématisées.

Construire des solutions de partage, d’attribution de visibilité et de revenus adaptées aux artistes. Les solutions doivent avant tout être adaptées aux artistes (information des artistes quand leur production est utilisée pour la construction d’un jeu d’apprentissage, dans un prompt). Il faut notamment envisager un format « opt-in », où l’accord de l’artiste n’est pas le défaut.

IA Générative et Données Personnelles

Régulation versus innovation : (r)attrape-moi si tu peux ?

Les discours selon lesquels la loi ou les organes de régulations seraient inadaptés, inadaptables ou encore inexistants face aux innovations de rupture, comme l’IA générative, ne sont pas nouveaux.

Pourtant, les appels à créer de nouvelles régulations ou autorités de surveillance ne doivent pas faire oublier qu’en matière de données personnelles il existe un socle de lois existantes en vigueur et couvrant très largement le périmètre de nouvelles innovations, y compris l’IA générative. C’est en particulier le cas du Règlement général sur la protection des données (ci-après « RGPD »), applicable depuis le 25 mai 2018.

La notion de donnée personnelle est particulièrement large : il s’agit de « toute information se rapportant à une personne physique identifiée ou identifiable »

Le RGPD s’applique à tous les traitements de données personnelles effectués dans le cadre des activités d’une société sur le territoire de l’Union Européenne (que le traitement ait lieu ou non dans l’Union). Il s’applique aussi aux sociétés qui ne sont pas établies dans l’UE et qui sont amenées à traiter des données personnelles dans les cas suivants :

• afin d’offrir des biens et des services à des personnes qui se trouvent sur le territoire de l’UE,

• dans le cadre du suivi du comportement de personnes, dès lors qu’il s’agit d’un comportement qui a lieu dans l’UE.

De fait, tout acteur proposant des services dans l’UE impliquant le traitement de données personnelles doit se poser la question de savoir si le RGPD lui est applicable, et si tel est le cas, comment le respecter.

Nous allons analyser dans cette section comment le RGPD s’impose d’ores et déjà aux systèmes d’IA, mais aussi explorer quelques questions inédites que l’IA générative soulève pour son application.

L’autorité italienne vis-à-vis des chatbots : une valse à trois temps

L’autorité italienne de protection des données personnelles (GPDP [59], équivalent de la CNIL en France) a été la première à prononcer des sanctions administratives visant des chatbots alimentés par des systèmes d’IA générative. La première affaire concerne le robot conversationnel Replika, décrit comme un « ami virtuel » qui aiderait ses utilisateurs à améliorer leur bien-être émotionnel. La seconde affaire vise ChatGPT. Revenons sur les différents épisodes.

Temps 1 : les sanctions

Replika : un risque pour les enfants et les personnes émotionnellement vulnérables.

Début février 2023, la CNIL italienne impose à la société Lunka Inc –créatrice de Replika – une limitation temporaire des traitements des données personnelles des utilisateurs italiens, sous peine d’une amende pouvant aller jusqu’à vingt millions d’euros ou 4 % du chiffre d’affaires mondial de la société [60] .

L’analyse de l’autorité italienne indique que les informations contenues dans la politique de confidentialité ne respectent pas les exigences du RGPD :

• les éléments du traitement ne sont pas suffisamment détaillés ;

• aucun détail relatif à l’utilisation des données personnelles de mineurs n’y figure

Par ailleurs, l’autorité précise que le fondement juridique sur lequel repose le traitement de données personnelles de mineurs ne peut pas être l’exécution d’un contrat. En effet, les mineurs – non émancipés –ne disposent pas de la capacité de contracter. L’autorité indique également que des données sensibles sont traitées, sans que des mesures appropriées n’aient été prises.

ChatGPT interdit pour collecte de données illicite et absence d’un système de vérification de l’âge des mineurs.

Le 31 mars 2023, l’autorité italienne impose cette fois à la société OpenAI une interdiction temporaire et immédiate du traitement des données des utilisateurs italiens via ChatGPT en raison des quatre éléments suivants [61] :

1. Les personnes concernées (utilisateurs ou non du service) ne disposent pas d’informations suffisantes sur la collecte des données personnelles réalisées via ChatGPT.

Le RGPD impose en ses articles 13 et 14 la fourniture d’informations aux personnes dont les données personnelles sont traitées. Ainsi, avant d’utiliser un service, les personnes doivent notamment être informées des traitements de données réalisées, de l’identité du responsable du traitement ainsi que des finalités de ces traitements.

2. L’autorité estime que le traitement massif de données personnelles à des fins d’entraînement des modèles d’IA ne dispose pas d’une base légale.

Aux termes de l’article 6 du RGPD, tout traitement de données personnelles ne peut être licite que s’il s’appuie sur l’une des « bases légales » suivantes:

• la personne a consenti ;

• le traitement est nécessaire à l’exécution d’un contrat entre la personne concernée et la société ;

• le traitement est nécessaire au respect d’une obligation légale, à la sauvegarde des intérêts vitaux de la personne ou à l’exécution d’une mission d’intérêt public ;

• le traitement répond aux intérêts légitimes de la société (ou de tiers) sans prévaloir sur les intérêts, libertés et droits de la personne dont les données sont traitées.

Ainsi, la mise à disposition de ChatGPT et l’entraînement du modèle sont deux choses distinctes. En l’état actuel, il n’est pas nécessaire à OpenAI de collecter, conserver et utiliser les données personnelles fournies par les utilisateurs de ChatGPT afin d’entraîner le modèle. Dans ces conditions, l’autorité italienne estime que l’exécution d’un contrat entre OpenAI et les utilisateurs de ChatGPT ne peut être la « base légale » justifiant le traitement de leurs données personnelles. De plus, aucun mécanisme de consentement n’est mis en place concernant la collecte de données personnelles.

3. Les résultats de ChatGPT portant sur des personnes peuvent être faux.

Aux termes de l’article 16 du RGPD, les personnes concernées disposent d’un droit de rectification des données personnelles les concernant. Dès lors que des données personnelles inexactes sont traitées, les personnes concernées doivent pouvoir les rectifier.

L’autorité a relevé que les résultats produits par ChatGPT pouvaient être faux sans pour autant qu’un mécanisme de rectification, ou a minima de suppression, ne soit disponible.

4. L’autorité souligne l’absence de mécanisme de vérification de l’âge, ce qui expose les enfants « à recevoir des réponses absolument inappropriées à leur âge et à leur sensibilité, même si le service est censé s’adresser à des utilisateurs âgés de plus de 13 ans. »

Temps 2 : les conditions pour la levée de la suspension de ChatGPT

Le 12 avril 2023, l’autorité italienne publie les conditions de levée de la suspension de ChatGPT[62]. Elle indique que :

• OpenAI doit mettre à disposition, en amont de l’accès au service, une note d’information aisément accessible à destination de toutes les personnes concernées (utilisateurs ou non) qui doit contenir :

• des éléments explicatifs relatifs aux modalités et à la logique des traitements de données requis pour le fonctionnement de ChatGPT ;

• une description des droits des personnes concernées ;

• Les utilisateurs depuis l’Italie doivent pouvoir consulter la note d’information en amont de toute inscription et indiquer qu’ils ont plus de 18 ans ;

• La base légale sur laquelle s’appuie OpenAI pour le traitement des données personnelles peut être soit le consentement des utilisateurs, soit l’intérêt légitime de la société ou des tiers. Il ne peut s’agir de l’exécution d’un contrat entre OpenAI et les utilisateurs de ChatGPT (art. 6 du RGPD).

• les droits des personnes concernées doivent être respectés, et notamment :

• le droit de s’opposer au traitement d’entraînement des algorithmes (« opt-out ») (art. 21 du RGPD) ;

• le droit d’obtenir la rectification des données personnelles générées par ChatGPT (art. 16 du RGPD) ;

• les enfants dont les données personnelles sont traités doivent être protégés par les mesures suivantes :

• La mise en œuvre immédiate d’un système de contrôle de l’âge pour s’inscrire au service ;

• OpenAI doit soumettre un plan d’ici le 30 septembre 2023, pour la mise en place d’ un système de vérification de l’âge visant à filtrer les utilisateurs âgés de moins de 13 ans ainsi que les utilisateurs âgés de 13 à 18 ans pour lesquels aucun consentement ne serait disponible par les titulaires de l’autorité parentale ;

• OpenAI doit également réaliser une campagne de communication quant à l’utilisation des données personnelles à des fins d’entraînement d’algorithmes.

Temps 3 : Les changements mis en place par OpenAI

28 avril 2023, l’autorité italienne a levé la suspension temporaire de ChatGPT [63] . Les changements et actions clés entrepris par OpenAI ont été :

• une note d’information accessible sur le site en amont de l’enregistrement au service comprenant :

• les détails des données personnelles traitées pour les utilisateurs et nonutilisateurs ;

• le rappel qu’il est possible de s’opposer (« opt-out ») à l’utilisation de ses données personnelles à des fins d’entraînement des algorithmes ;

• La mise en place d’un mécanisme permettant de demander l’effacement des données personnelles traitées et inexactes. Il est fait référence ici à des erreurs factuelles (« hallucinations ») du modèle ;

• Une clarification des bases légales justifiant le traitement de données personnelles ;

• Pour les utilisateurs italiens, dans la page de bienvenue, un bouton permettant de confirmer qu’ils ont plus de 18 ans avant d’accéder au service, ou qu’ils ont plus de 13 ans et ont obtenu le consentement de leurs parents ou tuteurs légaux ;

• L’ajout de la date de naissance dans la page d’inscription au service afin de bloquer l’accès aux utilisateurs âgés de moins de 13 ans et de demander la confirmation du consentement donné par les parents ou tuteurs pour les utilisateurs âgés de 13 à 18 ans.

La réaction de l’autorité italienne a permis de répondre à de nouvelles questions mais a aussi mis en exergue la nécessaire coordination et harmonisation européenne pour l’application du RGPD.